雲端防火牆：免費套用 VPS 流量規則

是的，雲端防火牆對所有伺服器免費。一個防火牆最多放入 50 條規則，並套用到最多 10 部伺服器。如想連大量流量攻擊都防範，可加上以一部伺服器計每月 $1.68 的 DDoS 防護，此金額與伺服器費用一同續期。只用防火牆的伺服器，收費維持伺服器費用不變。

雲端防火牆是在伺服器以外的網絡層按規則允許或阻擋流量的防火牆。以方向、通訊協定、連接埠及 IP 位址範圍訂立規則，只把符合規則的流量送到伺服器。與作業系統無關，Linux 及 FreeBSD 伺服器都以相同方式使用。

一個防火牆最多可建立 50 條規則。網頁伺服器通常只需 80、443、22 號連接埠三行規則，即使加上管理工具或資料庫連接埠亦綽綽有餘。不同角色的伺服器組另建防火牆分開，管理更容易。每條規則訂明方向、通訊協定、連接埠及 IP 範圍。

可以，同一防火牆可套用到最多 10 部伺服器。修改一條規則，所有組合伺服器一同套用，毋須在每部伺服器重複相同設定。按角色建立防火牆，例如網頁伺服器組、資料庫組，新伺服器只需選擇合適的防火牆。規則管理集中一處，減少失誤。

單靠雲端防火牆已可只開放必要連接埠，一併使用 ufw 或 firewalld 等伺服器內防火牆則可多一重保護。兩處規則按相同原則設定，即使一方設定出錯，另一方亦會阻擋。設定範例已整理在防火牆指引中。

建議在入站流量規則中，只允許你連線的 IP 位址使用 22 號連接埠。再配合 SSH 金鑰登入，嘗試猜密碼的連線便不會到達伺服器。如從多個地點連線，把這些位址分別加入規則。基本原則是網頁連接埠向所有人開放、管理連接埠只向自己的位址開放。

防火牆是只讓符合規則的流量通過的功能，DDoS 防護則是過濾經已允許的連接埠一次過湧入的大量流量攻擊。兩者並用，可只開放需要的連接埠，同時防範經該連接埠而來的攻擊。DDoS 防護以一部伺服器計每月 $1.68。

用於發信的 25 號連接埠為防垃圾郵件在所有伺服器已封鎖。網站通知郵件可經外部發送服務的 587 或 465 號連接埠發送，只需在防火牆的出站流量規則允許這些連接埠。收信及其他連接埠按規則使用。

不會，雲端防火牆規則位於伺服器以外，即使重新安裝作業系統亦照樣保留。重新安裝後完成伺服器內設定前，亦只開放必要連接埠，準備新伺服器期間亦受相同規則保護。更換防火牆或修改規則時亦毋須重新安裝伺服器，即時套用到營運中的服務。

每部伺服器都同時配一個 IPv4 位址及 IPv6 位址。建立防火牆規則時一併加入 IPv4 及 IPv6 位址範圍，便可按相同原則管理經兩個位址進入的流量。伺服器內防火牆亦最好一併啟用 IPv6 設定。兩個位址按相同原則管理，便無漏洞。